数据跨境实践探索白皮书（简版）202407

编写单位（排名不分先后）北京国际大数据交易所有限责任公司北京理工大学对外经济贸易大学首都经济贸易大学北京市科学技术研究院北京市金杜律师事务所北京市环球律师事务所北京数风科技有限公司 第一章全球数据跨境概况 2一、全球数据跨境的现状与趋势 2二、数据跨境需求分析 第二章全球数据跨境政策法规体系概览 4一、全球数据跨境治理体系特点 4二、相关重点国际组织数据跨境规则概要 5三、相关重点国际贸易协定的数据跨境规则概要 四、重点区域和国家数据跨境规则概要 第三章我国的数据跨境政策法规体系 7一、发展历程和特点 8二、政策法规的特点 8三、数据出境合规路径 第四章我国自贸试验区数据跨境政策创新与实践 10一、数据清单制定思路 二、各地区积极探索 11三、挑战与难点 13一、企业数据跨境实践概述 二、重点行业数据跨境研究 （一）金融行业 （二）汽车行业 （四）跨境电商 （六）人工智能行业 16第六章启示与展望 1自二十世纪80年代经济合作组织（OECD）首提“跨境数据流动”（Trans-borderDataFlow）以来，伴随着全球化进程，人流、物流、资金流、信息流等均在全球范围内大规模流动，跨境贸易、跨境金融、跨境交通等诸多领域的国际合作高度依赖于数据的跨境流动，数据在其中承载着推动传统国际治理朝向未来升级和变革的重要历史使命。数据跨境流动是国际竞争与合作中讨论最火热、博弈最激烈、矛盾亦最突出的问题。数据跨境流动涉及国家安全、公共利益、商业利益、个人信息保护等诸多方面问题，愈来愈频繁的数据跨境流动给全球经济带来红利，同时也带来了愈来愈多的安全风险和监管挑战。因此，如何安全有序地保障和促进跨境数据流动，成为个人、企业和国家间利益博弈的焦点。在数字经济已经成为新时代经济发展重要引擎的背景下，做好数字经济发展顶层设计和体制机制建设，是推动数字经济更好地服务和融入新发展格局的必然要求。在安全与发展之间，在限制流动与鼓励利用之间，几大法域间形成了风格各异的制度特征。中国已按照分类分级管理的思路，针对不同类型的数据制定了不同的跨境流动方案，同时积极寻求加入区域性贸易协定，努力推动数据跨境“科学流动”。2第一章全球数据跨境概况当前，数据作为新兴的战略资源和生产要素，其跨境流动已成为全球数字经济增长的新动能。数据跨境流动在促进国际经贸合作、加速科技创新的同时，也引发了全球对个人隐私安全、经济安全、国家安全的担忧。尤其是随着网络空间与地缘政治、产业竞争、经贸关系等领域紧密结合，数据跨境流动成为当前全球最为关注、最为复杂的议题之一。基于此，本章将着重介绍全球数据跨境的现状与趋势，同时对数据跨境进行需求分析。一、全球数据跨境的现状与趋势在科技的引领下，全球数字化时代已然来临。在新的场域中，各国家和地区间对数据跨境流动的依赖不会减少，只会增加。更加安全、顺畅的数据跨境流动既是全球的主流共识和研究热点，又是世界历史和人类发展进程的客观要求。数据跨境规则构成国际数字营商环境的重要组成部分，如何统筹安全与发展，如何吸引和留住企业，防止因数据跨境规则问题而引致的企业外流，是对各国家和地区政策法规制定者的考验。随着各国家和地区对各行业普遍适用的综合性个人信息和数据安全保护政策法规的制定实施和全球性的移借复制，加之对数据出境安全风险不确定性的担忧，全球数据跨境流动监管呈现复杂化态势。3近年来，我国数字经济呈现出爆发式增长态势，中国不仅是数字贸易大国，同时也是数据流动大国，2021年中国数据跨境流动量约占全球的23%，到2025年将位居全球数据圈之首，占比27.8%，中国领跑全球数据跨境流动。可以预见，未来，数据跨境监管趋严与数据跨境有序流动将成为并驾齐驱的两大趋势。二、数据跨境需求分析一般而言，数据跨境需求分为商业需求和司法执法需求。商业需求指的是商务和运营意义上企业与个人间、企业与企业间的数据跨境流动需求，司法执法需求指的是由境外司法、行政监管要求等引发的证据调取等数据跨境流动需求。商业需求又可分为两种情况，一是企业开展跨境业务引发的数据跨境传输需求；二是跨国公司因内部运营管理需要产生的数据跨境需求。司法执法需求亦可分为司法和执法两种场景，其触发数据跨境传输需求的主要原因，一是涉外诉讼中境外司法机关要求跨境调取证据；二是境外监管部门履行监管和调查职能时对赴境外上市企业、跨国公司所涉境外分支机构等相关数据提出监管合规要求。4第二章全球数据跨境政策法规体系概览随着经济全球化进程的推进和国际交流合作的增多，各国对数据跨境流动的意义和影响的认识逐渐深化，使得数据跨境流动成为国家和地区间博弈的关键议题。在综合考虑国家安全、经济发展、隐私保护和技术能力等多方面因素的基础上，各国和地区制定了不同的数据跨境流动策略，并据此加快构建和完善自身的数据跨境流动规则体系。本章就全球数据跨境治理体系特点，以及相关重点国际组织、国家和地区和国际贸易协定的数据跨境规则进行详细介绍。一、全球数据跨境治理体系特点全球跨境数据流动的治理是维护国际经济秩序、保护国家安全和促进数据自由流动之间平衡的关键。随着数字经济的蓬勃发展，跨境数据流动已成为全球贸易和投资不可或缺的一部分，对全球经济格局产生了深远的影响。有效的数据治理机制对于保障数据的合法、安全和高效流动至关重要，它不仅关系到全球市场的健康发展，也是实现全球数字经济潜力的前提。全球数据跨境治理体系呈现出治理目标多元化、跨境数据流动的多维化、自由与禁止两极下多种治理模式的并行博弈的特点。5二、相关重点国际组织数据跨境规则概要由于各国经济发展越来越受到数据跨境转移的影响，全球不同国家和地区的数据保护立法给数据跨境转移造成了影响。以欧美国家为主的经济合作与发展组织（OECD）发布了《关于隐私保护和个人数据跨境转移的指南》（《OECD指南》以亚太地区国家为主的亚洲太平洋经济合作组织（Asia-PacificEconomicCooperation，简称APEC）形成了APEC跨境隐私规则体系，而东南亚国家联盟（ASEAN）则针对数据跨境出台了许多相关文件。三、相关重点国际贸易协定的数据跨境规则概要除了各国出台数据跨境相关的规则外，各重要国际贸易协定也针对数据跨境达成了多项共识。以美国主导的《跨太平洋伙伴关系协定》TPP为基础框架的《全面与进步跨太平洋伙伴关系协定》（CPTPP）于2017年12月30日生效。新加坡牵头的《数字经济伙伴关系协定》（DEPA）从多方面协调一致实现了数据安全流动、参与者互信的数字营商环境。由东盟发起的区域全面经济伙伴关系协定（RegionalComprehensiveEconomicPartnership，简称RCEP）历经8年时间，经各方努力，于2021年11月2日获得符合生效门槛的多国核准。6四、重点区域和国家数据跨境规则概要作为全球数据保护和隐私法规的领导者，欧盟一直致力于在保护个人隐私和促进数据自由流动之间找到平衡。美国的数据保护法律体系是一个由多层级法律构成的复杂框架，这种分散化的方法与欧盟的全面统一立法策略形成鲜明对比。日本是OECD和APEC的成员国，并被列入了欧盟《通用数据保护条例》的“白名单”。新加坡则作为全球贸易自由化程度最高的经济体之一，在尊重和保护个人隐私的前提下，对数据的跨境流动采取了比较开放的态度。7第三章我国的数据跨境政策法规体系近年来，我国已经发展成为数字贸易大国，积极构建海量数据。根据IDC的预测，我国的数据量在2021—2025年间平均增长速度为30%左右，将成为全球数据量最大的国家。随着国际贸易和数字服务进出口规模的持续扩大，跨境流通的数据量持续增加，我国跨境数据流通呈现规模化、区域化的特点。为保障国家数据安全，保护个人信息权益，促进数据开发利用，加强数据安全管理和个人信息保护，积极推动数据跨境安全、促进数据依法有序自由流动，我国制定出台了多部与数据跨境流动相关的法律法规。本章着重介绍我国的数据跨境政策法规体系的发展历程、特点以及合规路径等内容。我国目前正式出台了《数据出境安全评估办法》《网络安全法》《数据安全法》和《促进和规范数据跨境流动规定》等文件，从立法视角看，势必将推动我国数据跨境流动的制度规则更加清晰完善。8一、发展历程和特点伴随国内数据领域政策法规体系的形成与发展，数据跨境政策法规体系主要经历了三个阶段。第一阶段（2011至2014年）是数据跨境制度初探阶段，分部门、分领域建立数据本地化和出境管制规定，第二阶段（2015至2020年）是《网络安全法》背景下数据跨境治理从“诸法分立”走向“协调统一”，第三阶段（2021年至今）则是政策法规体系逐步成熟与稳步落地阶段。二、政策法规的特点从国际化角度来看，我国关于跨境数据流动的法律规制模式是独立于“欧美模式”之外的第三种模式。这种模式既是基于我国独有的中国特色社会主义现状和国情，也是对当前我国所处国际环境和国际化发展需要的一种体现。根据我国有关跨境数据流动的法律规制文献和条款内容、法律规制原则两部分内容，总结出我国跨境数据流动的法律规制具有将维护国家数据安全与数据主权放在首位、注重数据“动”和“静”两面安全、注重数据开放和国际交流合作这三个方面的特点。三、数据出境合规路径明确数据出境合规路径有助于保护个人信息、防范化解企业跨国经营数据安全风险、促进数字经济健康发展，并能够确保数据在跨境传输和存储过程中得到充分保护、符合相关法律法规的要求。当前，我国数据合规管理制度日趋完善，数据跨境监管下的合规出境通路主要采取“3+X”模式，其中“3”代表三种已经法律确认的向境外提供数据的9合规路径，分别为通过国家网信部门组织的安全评估、按照国家网信部门的规定经专业机构进行个人信息保护认证以及按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；“X”代表依据法律、行政法规或者国家网信部门规定的其他条件出境的合规路径，此项兜底条款给未来数据出境制度释放了一定的弹性空间。第四章我国自贸试验区数据跨境政策创新与实践在数字化浪潮的推动下，数据跨境流动已成为推动数字经济发展的关键力量。我国出台的《促进和规范数据跨境流动规定》中明确指示自由贸易试验区在国家数据分类分级保护制度框架下，可以自行制定区内需要纳入数据出境安全评估、个人信息出境标准合同、个人信息保护认证管理范围的数据清单等。作为数据跨境流动的前沿阵地，我国自贸试验区在这一领域展开了积极的探索和实践，这些试验区不仅是连接国内外数据流动的桥梁，更是推动数据要素市场化、国际化的重要引擎。本章将对我国自贸试验区数据跨境政策创新以及北京、天津、上海、粤港澳大湾区等自贸区在数据跨境流动方面的实践探索进行详细梳自贸试验区的便利化数据跨境流动解决方案的探索为制度创新提供了实践平台，有助于完善法律法规。通过在实践中发现问题和挑战，可以为国家层面的立法提供经验和参考，推动形成更加成熟和完善的便利化数据跨境流动管理制度。一、数据清单制定思路在编制数据清单的过程中，各自贸试验区深入研究入驻企业所属行业、企业的数据出境需求、国家战略需求以及风险可控性等因素，确保清单的制定符合国家的发展战在选定数据清单行业后，各自贸试验区相继展开重点行业数据清单的编制工作。鉴于各自贸试验区实际情况、总体规划和发展方向的差异，以及区内入驻行业企业的多样化特点，各自贸试验区紧密结合区内企业的实际出境需求，有针对性地选择重点行业并制定相应的数据清单。二、各地区积极探索中国（北京）自由贸易试验区采取负面清单管理模式，从数据治理、数据资产登记、数据资产评估、数据交易流通及跨境合规流通等方面提供全方位的咨询，提供数据跨境自评估、个人信息保护影响评估（PIA）、标准合同、数据尽调及数据安全评估等咨询服务。中国（天津）自由贸易试验区旨在提升数据安全保护能力，并支持数字经济的发展，加快高水平对外开放，落实自贸试验区提升战略，对接国际高标准经贸规则，并探索数据领域规则创新，通过建立数据分类分级保护制度，鼓励数据依法依规、安全有序流动，为企业数据出境提供便利，保障商业数据安全顺畅流动。中国（上海）自由贸易试验区临港新片区结合各行业数据分类标准规范以及临港新片区相关行业的发展要求，对跨境数据进行分类管理，重要数据形成重要数据目录，一般数据形成一般数据清单，分类施策，分级管理，数据分级为核心数据、重要数据和一般数据，清单内容包括出境场景、数据类别、数据类别说明、数据字段举例、例外原则。粤港澳大湾区简化了粤港澳大湾区内地城市和香港之间就内地个人信息跨境流动的合规安排，有助于促进数据的自由流动和区域经济的一体化发展。三、挑战与难点我国自贸试验区在推进便利化数据跨境流动过程中，面临的挑战包括：法律实施与国际接轨的挑战与应对新环境、强化数据跨境流动管理与安全新举措、加强国际合作，共筑全球数据治理新体系、提升技术基建与人才储备新举措、强化政策理解与适应性新策略和监管模式创新与平衡新探索。在管理机制上的设计难点包括：明确自贸试验区内外数据处理者管理差异与全面管辖新策略、明确管理主体与加强协调监督新举措、强化分类分级与负面清单管理新举措、构建完善机制与探索新标准的关键举措和自贸试验区申报备案与核查新机制。第五章我国重点行业企业数据跨境实践分析数据安全是国家安全的重要构成部分，而数据跨境流动在带来诸多便利的同时，也增加了国家安全与数据安全风险隐患。数据跨境在不同行业的敏感性、业务场景复杂性等均有不同，是监管关注重点，其面临数据合规挑战不言而喻。在国家安全主视角及外资纷纷入场浪潮下，我国重点行业企业在如何保护数据安全，同时推动数据跨境流动，是当前所面临的现实问题。本章将对企业数据出境合规的机制、架构、要点进行总结，同时详细介绍金融、汽车、医疗、跨境电商、民用航空、人工智能行业的数据跨境实践现状和合规要点。一、企业数据跨境实践概述近年来，随着全球数字经济迅猛发展，企业数据跨境流动已成为推动数字贸易发展的重要驱动力。其中，如何确保数据合规出境，保护数据安全和用户个人信息，成为出海企业、跨国企业等广泛关注的重要议题。根据实践经验，企业开展数据出境活动时，需要准确把握法律规定，明确出境场景、数据类型、数据规模、出境途径等因素，完成出境前、出境中和出境后的相关合规动作，从组织流程、业务识别和具体落实等方面，构建数据出境的常态及专项机制，确保数据出境活动正常有序进行。二、重点行业数据跨境研究（一）金融行业金融数据安全规则体系涵盖了金融行业的多个关键领域，包括数据分类分级、数据生命周期管理以及包括证券期货、保险、银行等具体细分领域的专门法律法规。这些规则构成了中国金融行业数据出境安全的基础。案例一：在北京CBD跨国企业数据流通服务中心、北京国际大数据交易所支持下，北京德亿信数据有限公司通过订立标准合同实现个人信息合规出境。案例二：支付宝（杭州）信息技术有限公司的“跨境小程序”业务相关数据项通过国家网信办数据出境安全评案例三：国泰君安通过数据出境安全评估。（二）汽车行业当前，我国汽车行业数据合规规则体系正在逐步完善，在数据出境方面，汽车行业除遵循国家层面的一般法律法规要求外，针对汽车行业的特定需求，相关部门出台了具体规定。案例一：北京现代汽车有限公司数据出境安全评估项目顺利通过审批。案例二：马自达（中国）企业管理有限公司完成数据出境安全评估。出境安全评估。在医疗行业，数据出境监管规则是确保患者隐私和数据安全的重要环节。案例一：北京友谊医院与荷兰阿姆斯特丹大学医学中心合作研究项目成为全国首个数据合规出境案例。案例二：海南省星创互联网医药有限公司通过个人信息出境标准合同备案。案例三：武汉科斯德尔玛检测技术服务有限公司通过个人信息出境标准合同备案。案例四：拜耳（中国）有限公司数据出境安全评估项（四）跨境电商实践中，跨境电商的业务场景丰富多样，涵